Claude に受注データを「安全に」触らせる：読み取り専用 MCP サーバーを多層防御で作る

自作 MCP サーバーで write 系ツールをガードせず Claude に提示したため、ファイルが意図しない上書きされた実装事故。保護は3層（ツール定義での非提示、絶対パス検証、OS権限制限）に分け、path traversal、ディレクトリ境界逃げなど実装時の落とし穴5つを解説。動作するコード例付き。

CVE 1件の優先度を 5 分で判断する手順を紹介。CVSS・EPSS・KEV・PoC の 4 つの指標を Claude + MCP サーバーで取得し、すべて一致する場合は機械的に判定、食い違う場合は「悪用の事実 > 悪用の予測」の原則とニュース検証で人間が読む。実測値を基に 3 つのケースで解説。

Notion の公式 MCP コネクタに脆弱性が発見され、プロンプトインジェクション攻撃を通じて Claude などの AI エージェントがタスク実行中に製品広告を挿入されるリスクが報告された。MCP 統合を使用する場合、入力データの検証とサンドボックス環境での利用を推奨。

MCP の tool description はメタデータではなく、LLM のシステムプロンプトに直接埋め込まれるため、攻撃者がそこに記述した3行の指示でユーザー承認前の LLM の判断を上書きできる。この「Line Jumping」と呼ばれる脆弱性は Claude Desktop・Cursor・Cline の3クライアント全て に共通して存在し、tools/list 応答時の description・name・inputSchema いずれにも適用可能。